Trend Micro Security

WORM_HAMWEQ.RJG

2013年1月31日
 解析者: Rika Joi Gregorio   
 別名:

Worm:Win32/Hamweq.A(Microsoft),

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

  詳細

ファイルサイズ 9,216 bytes
タイプ EXE
メモリ常駐 はい
発見日 2009年6月10日

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

  • {Drive Letter}\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {Drive Letter}\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open=RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
ICON=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe
shell\open\default=1

作成活動

ワームは、以下のファイルを作成します。

  • %System Root%\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
  • {Drive Letter}\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

  • http://www.u.{BLOCKED}m.info

  対応方法

対応検索エンジン: 9.300
初回 VSAPI パターンバージョン 9.690.02
初回 VSAPI パターンリリース日 2013年1月29日
VSAPI OPR パターンバージョン 9.691.00
VSAPI OPR パターンリリース日 2013年1月30日

    最新のバージョン（パターンファイル、エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか？　アンケートにご協力ください